やりたいこと
Mod Securityを導入してから、不正アクセスがerror.logに現れるようになりました。
そのアドレスをネガティブリストに放り込むことで後続のアクセスをブロックする方法は設定しました。
そこで、
- 日ごとにerror.logで検知したログを確認し
- IPアドレスのみを抜き出してリスト化する
設定を行います。
環境
- Ubuntu 20.04(Linux Mint)
- Apache 2.4
- Mod Security
※ログは/var/lib/redmine/log に格納されています。
手順
一般ユーザで実施します。
参考:
apacheのerror.logからIPアドレスを抜き出します。
cd /var/lib/redmine/log
cat error.log | awk 'match($0,/[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+/) { print substr($0, RSTART, RLENGTH) }'
# IPアドレスのみ表示されることを確認。IPアドレスを並べ替え、重複を除外します。
cd /var/lib/redmine/log
cat error.log | awk 'match($0,/[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+/) { print substr($0, RSTART, RLENGTH) }' | sort | uniq
# 一意のアドレスのみが表示されることを確認。自動実行するスクリプトを作成します。
cd /hoge/
vi negativelist.shスクリプト内容
#!/bin/sh
SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
cd /var/lib/redmine/log
cat error.log | awk 'match($0,/[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+/) { print substr($0, RSTART, RLENGTH) }' | sort | uniq > /var/lib/redmine/log/suspicious_ip.`date +%Y%m%d`スクリプトに実行権限を付与します。
chmod +x negativelist.sh日ごとに実行されるように設定します。
sudo su -
crontab -u www-data -e
# redmineのログプラグインで閲覧できるよう、apache実行ユーザのcronを編集しますcron内容
0 8 * * * /hoge/negativelist.shこれで、「Mod Securityが不正アクセスと見なしたIPアドレスを日ごとに抜き出す」仕組みが整いました。
(シェルスクリプトで指定したディレクトリ内に、suspicious_ip.yyyymmdd というファイルが作成されます。
また、/var/lib/redmine/log 配下に置くことで、redmineのログプラグインで表示することができます。)
直接ネガティブリストに追記しないのは、偽陽性で自分自身がブロックされるのを防ぐためです。
